Modul 11 - Zertifizierungen & Karrierewege

„CISSP oder CISM — was nimmst du?”

Tobias, Mitte 20, seit acht Monaten als SOC-Tier-1 in einer mittelgroßen Geschäftsbank. Er hat einen Mentor — Frank, seit 15 Jahren im Geschäft, inzwischen Senior IT-Auditor. Beim Lunch fragt Tobias: „Frank, alle reden über CISSP und CISM. Was nehme ich denn jetzt? Und wann?” Frank lacht: „Falsche Frage. Die richtige Frage ist: Wo willst du in fünf Jahren stehen? Erst dann reden wir über Zertifikate.”

Genau diese Frage beantwortet Modul 11. Wir gehen drei Karrierepfade in der Bank-IT-Security durch, schauen uns die 15 wichtigsten Zertifikate an — mit Kosten, Aufwand und tatsächlicher Bank-Relevanz — und geben drei konkrete Empfehlungen für drei verschiedene Personas.

Drei Karrierepfade — Three Lines of Defense als Kompass

Die Three Lines of Defense aus Modul 8 sind nicht nur eine Organisations- struktur, sondern auch eine Karriere-Landkarte. Jede Linie hat ihre eigenen Rollen, Anforderungen und passenden Zertifikate.

Wichtig: Die drei Pfade sind keine Einbahnstraßen. Senioren wechseln in der Praxis durchaus zwischen Linien — vom SOC-Manager in die 2. Linie, von Risk in die Revision, oder von Audit zurück in eine operative Führungsrolle. Wer zwei Linien kennengelernt hat, ist für CISO-Rollen besonders attraktiv (T-shaped Profil).

Die fünf Kategorien — was es überhaupt gibt

Personenzertifikate für IT-Sicherheit fallen grob in fünf Kategorien:

• Management/Governance — Risiko, Compliance, ISMS-Aufbau. Klassisch für 2. und 3. Linie.
• Generalist — breite Grundlage, oft als Pflicht-Basis gesetzt.
• Technisch / Operativ — Hands-on-Skills für SOC, Forensik, Penetration Testing.
• Audit — Prüfungstechnik, Kontroll-Bewertung, Berichtsführung.
• Cloud-spezifisch — wachsend wichtig in deutschen Banken seit Microsoft 365 und AWS/Azure-Migrationen.

Plus die BSI-Linie (IT-Grundschutz-Berater, IS-Revisor) für deutsche öffentlich-rechtliche Banken und KRITIS-Betreiber.

Management & Governance

Diese Zertifikate sind das Pflichtprogramm für 2. Linie und CISO-Pfad. Wer in einer deutschen Bank in den ISMS-Bereich wechseln möchte, hat mindestens eines davon — meist mehrere.

Generalist — breite Grundlage

Wer noch keinen klaren Pfad hat oder eine grundlegende Qualifikation braucht, fängt hier an. CISSP ist der „Universalschlüssel”, den Personalabteilungen weltweit erkennen.

Technisch & Operativ — für die 1. Linie

Für SOC-Analysten, Penetration Tester, Forensiker und Incident Responder. Hands-on, technisch tief.

Audit — für die 3. Linie

Die Königsklasse für interne IT-Revision. Wer in der Bank in die 3. Linie wechseln will, kommt am CISA praktisch nicht vorbei.

BSI — die deutsche Pflicht-Linie

Förderbanken, KRITIS-Betreiber und viele Sparkassen orientieren sich am BSI-IT-Grundschutz. Wer dort beraten oder prüfen will, braucht BSI-spezifische Zertifikate.

Cloud — der wachsende Schwerpunkt

Seit Microsoft 365, AWS und Azure auch in Banken Standard sind, sind Cloud-Sicherheits-Zertifikate gefragt. Besonders wertvoll für 2L mit Auslagerungs-Schwerpunkt.

Drei realistische Karriere-Empfehlungen

Statt allgemeiner Ratschläge — drei konkrete Personas und was sie machen sollten. Vielleicht erkennst du dich oder einen Kollegen wieder.

Tobias — Berufseinsteiger im SOC

Tobias ist 27, hat Wirtschaftsinformatik studiert, ist seit 8 Monaten Tier-1 im SOC. Er möchte technisch tief gehen — Forensik und Threat Hunting reizen ihn.

Sandra — 2L-Risikomanagerin (5 Jahre Erfahrung)

Sandra ist 34, hat einen Wirtschaftsmathematik-Abschluss, seit 3 Jahren in der 2. Linie einer Förderbank. Sie ist Risk Manager und will mittelfristig CISO werden.

Frank — Senior IT-Auditor, denkt an Wechsel

Frank ist 48, seit 20 Jahren in der IT-Sicherheit, davon 12 Jahre in der internen Revision einer Großbank. Er überlegt: zurück in die 2L als CISO, oder in eine Beratungs-Karriere?

Realitäts-Check — was wirklich zählt

Bevor du Geld für ein Zertifikat ausgibst, ein paar nüchterne Wahrheiten aus der Praxis:

• 1

  Zertifikat ohne Erfahrung wirkt verdächtig. Wer mit 25 schon CISSP, CISM, CISA hat, aber nichts davon je angewendet hat, wirkt auf Personaler skeptisch. Lieber ein Zertifikat passend zur aktuellen Rolle als drei „auf Vorrat”.

• 2

  Arbeitgeber zahlt — oft. In deutschen Banken werden CISSP, CISM, ISO 27001, CISA in den meisten Fällen vom Arbeitgeber bezahlt (oft 100 %, manchmal 50 %). Vor Selbstfinanzierung fragen. Auch Lernzeit ist oft drin.

• 3

  SANS ist teuer — und manchmal trotzdem wert. €8.500 pro Kurs klingt absurd, aber die Inhalte sind die intensivsten der Branche. Wenn die Bank zahlt: nimm SANS. Wenn du selbst zahlst: nimm Self-Study mit OffSec, TryHackMe und HackTheBox.

• 4

  Rezertifizierung ist Pflicht. CISSP, CISM, CISA, CRISC: alle drei Jahre Continuing Professional Education (CPE) — meist 120 Stunden über drei Jahre, plus Jahresgebühr. Plane das ein.

• 5

  In der Förderbank zählen BSI-Zertifikate mehr als anderswo. Die BaFin schaut bei öffentlich-rechtlichen Banken oft nach BSI-IT- Grundschutz-Berater im 2L-Team.

Die fünf Karriere-Regeln

• 1

  Zertifikat folgt Rolle, nicht umgekehrt. Wähle Zertifikate, die zu deiner aktuellen oder geplanten Rolle passen — nicht solche, die „klingen wie viel”.

• 2

  Drei sehr starke schlagen sieben mittelmäßige. Tiefe sticht Breite. CISSP + CISM + CISA + eine Cloud-Zertifizierung reichen für fast jede Senior-Rolle in einer Bank.

• 3

  Erfahrung vor Examen. Voraussetzungen (5 Jahre für CISSP/ CISM) sind keine Schikane — sie machen die Zertifikate für Arbeitgeber wertvoll, weil sie reine „Bücherwürmer” ausschließen.

• 4

  Bank-Branche bevorzugt deutsche Schulen. Im internationalen Wettbewerb sind CISSP und CISM Pflicht. In klassischen deutschen Banken sind ISO 27001 LI und BSI-Zertifikate gleichwertig oder wertvoller — Branchenkenntnis sticht.

• 5

  Netzwerk schlägt Zertifikat ab Senior-Level. Spätestens als Senior und Manager wirst du nicht über Zertifikate angesprochen, sondern über Empfehlungen, Vorträge und Sichtbarkeit. Plane das ein — Konferenzen (BaFin-Akademie, IT-SecX, it-sa) sind oft wertvoller als der nächste Kurs.

Quiz — passt das Zertifikat zur Rolle?

Verzahnung mit den vorherigen Modulen

Modul 11 sortiert Zertifikate entlang der Three-Lines-Logik aus Modul 8 ein. Wenn dir die Karriere-Sicht unklar ist, schau dort nochmal — die WAS/WIE/OB-Trennung ist auch die Trennung zwischen den drei Karrierepfaden.

In Modul 12 wechseln wir zur konkreten Bewerbungsvorbereitung — welche fachlichen Fragen werden im Vorstellungsgespräch für eine IT-Security-Rolle in der Bank gestellt? Wie antwortet man auf DORA-Szenarien? Was bringt man als Muster für ein Risiko-Votum mit?